Les cybercriminels s'attaquent au secteur de la santé (mais nous pouvons riposter)

Une version de cet article a été publiée dans Cyber Defense Magazine. Il a été mis à jour pour sa syndication ici.

Les cyberattaques font désormais partie de notre quotidien. Le public s'attend presque à entendre parler d'une nouvelle vulnérabilité ou d'une brèche affectant tout, de la banque à l'aviation, en passant par des appareils aussi variés que les smartphones et les feux de signalisation. Même nos foyers ne sont plus totalement à l'abri. Des villes entières sont attaquées quotidiennement par des criminels qui exigent des millions de rançon pour rétablir des services critiques compromis.

Pourtant, le cabinet médical ou l'hôpital restaient des lieux où l'on espérait se sentir en sécurité. Les patients sont particulièrement vulnérables lorsqu'ils sollicitent des soins. La décence humaine voudrait que les cliniciens puissent exercer leur noble métier en toute sérénité. Malheureusement, ce n'est pas le cas. Il semble y avoir peu d'honneur — ou peut-être une pure désespérance — chez les cybercriminels d'aujourd'hui. En réalité, le secteur de la santé pourrait devenir le prochain « grand » champ de bataille de la cybersécurité, avec des criminels s'attaquant aux machines mêmes qui diagnostiquent les problèmes médicaux, dispensent des traitements et maintiennent les patients en vie. Alors qu'une crise sanitaire mondiale se déroule sous nos yeux, il est crucial d'aborder ce problème sous plusieurs angles.

Les menaces deviennent plus personnelles que jamais.

Les attaques contre le secteur de la santé ne sont pas nouvelles. Les cybercriminels connaissent déjà la valeur des dossiers médicaux, des données personnelles et des informations financières sur le dark web. Ces données peuvent servir à voler directement l'argent des patients ou à lancer des attaques secondaires comme le phishing ou d'autres escroqueries. Il n'est donc pas étonnant que bon nombre des attaques les plus dévastatrices aient récemment visé le secteur de la santé. Anthem Healthcare a vu 80 millions de dossiers patients dérobés. Premera a perdu 11 millions de fichiers personnels. CareFirst a comptabilisé 1,1 million de dossiers compromis, et la liste est longue.

À l'heure actuelle, les attaques directes contre les dispositifs médicaux semblent rares. Cependant, au moins un rapport suggère que le problème pourrait être bien plus répandu, les hôpitaux ne signalant pas les intrusions ou les employés, non formés à la cybersécurité, ne réalisant tout simplement pas qu'une attaque se déroule sous leurs yeux. La capacité de compromettre des dispositifs médicaux de manière effrayante, par exemple en utilisant des logiciels malveillants pour ajouter de fausses tumeurs à des scanners ou des IRM, a été démontrée de manière concluante par des chercheurs en sécurité. Il n'est pas difficile d'imaginer que des attaquants puissent déjà faire de même ou des choses similaires sur des dispositifs médicaux dans le monde réel.

Le secteur de la santé est également particulièrement vulnérable aux cyberattaques en raison de sa dépendance croissante aux objets connectés (IoT), ces minuscules capteurs reliés à Internet qui génèrent des volumes d'informations incroyables. Pour la plupart, la sécurisation des données produites par ces capteurs, des canaux de communication utilisés et même des capteurs eux-mêmes, n'a été qu'une réflexion après coup. Le nombre de vulnérabilités potentielles qu'un attaquant pourrait exploiter au sein de ces réseaux dominés par l'IoT est probablement presque illimité.

L'IoT dans le secteur de la santé présente des risques sérieux.

Les services essentiels aux soins des patients — dont certains étaient inimaginables il y a 20 ans — sont des terreaux fertiles pour les vulnérabilités liées à l'IoT et les failles plus traditionnelles. Les dossiers médicaux électroniques, la télémédecine et la santé mobile attendaient tous le coup de pouce informationnel que l'IoT pouvait offrir. Il n'est pas étonnant que l'engagement envers l'IoT dans le secteur de la santé soit stupéfiant. MarketResearch.com prévoit que d'ici l'année prochaine, le marché de l'IoT dans le secteur de la santé atteindra 117 milliards de dollars et continuera de croître à un rythme de 15 % par an par la suite.

Dans cet environnement, des attaquants qualifiés peuvent trouver de nombreuses vulnérabilités pour exploiter les dispositifs médicaux. Les capteurs IoT intégrés aux dispositifs médicaux communiquent et produisent généralement leurs données de deux manières. Certains collectent des données puis transmettent toutes leurs conclusions directement sur Internet pour analyse. D'autres utilisent une forme de réseau distribué appelée informatique de brouillard (fog computing) où les capteurs forment eux-mêmes une sorte de mini-réseau, décidant collectivement quelles données partager avec un référentiel ou une plateforme centrale. Ces données peuvent ensuite être traitées ou consultées directement par le personnel soignant.

Ce qui complique davantage la cybersécurité dans le secteur de la santé, c'est le fait que l'industrie n'a jamais adopté ni convenu de normes, de méthodes ou de protections en matière de traitement des données. Historiquement, le secteur de la santé a été servi par des fabricants proposant leurs propres technologies propriétaires pour les dispositifs médicaux. Aujourd'hui, cela inclut les capteurs IoT intégrés, les canaux de communication utilisés par les appareils et la plateforme d'analyse des données collectées. Cela fait de la plupart des réseaux hospitaliers un rêve pour les pirates, ou du moins un terrain d'essai idéal où ils peuvent exploiter tout, des mauvaises configurations de sécurité à l'insuffisance de protection de la couche de transport. Ils peuvent tout essayer, des falsifications de requêtes intersites (CSRF) aux classiques attaques par injection XML.

La riposte dont nous avons besoin est juste sous nos yeux.

Malgré les conséquences potentiellement catastrophiques de l'exploitation de ces vulnérabilités, il y a de quoi rester optimiste : ces failles de sécurité ne sont pas de nouvelles portes dérobées puissantes ouvertes par des génies du crime. Elles sont si courantes qu'il est frustrant de les voir encore et encore. Une partie de la raison pour laquelle elles refont surface est l'utilisation de systèmes hérités (legacy) qui n'ont pas été corrigés malgré la disponibilité de correctifs, mais l'autre raison est, une fois de plus, liée au facteur humain. Les développeurs écrivent du code à un rythme effréné et se concentrent sur un produit final élégant et fonctionnel... pas sur les meilleures pratiques de sécurité.

Il y a tout simplement trop de logiciels en cours de développement pour que les spécialistes de la sécurité des applications (AppSec) puissent suivre, et nous ne pouvons pas attendre d'eux qu'ils sauvent la mise en permanence face à ces vulnérabilités récurrentes. Il est moins coûteux, plus efficace et clairement beaucoup plus sûr que ces vulnérabilités ne soient pas introduites dès le départ, ce qui signifie que les équipes de sécurité et les développeurs doivent faire un effort supplémentaire pour créer une culture de sécurité robuste et de bout en bout.

À quoi ressemble exactement une excellente culture de sécurité ? Voici quelques éléments clés :

• Les développeurs sont équipés des outils et de la formation nécessaires pour éliminer les bugs courants (et comprennent pourquoi il est si important de le faire)
• La formation est complète, facile à assimiler et exploite les points forts des développeurs
• Les résultats de la formation sont correctement mesurés, avec des indicateurs et des rapports (pas juste un exercice de case à cocher)
• Les équipes AppSec et les développeurs commencent à parler le même langage : après tout, dans une culture de sécurité positive, ils travaillent pour atteindre des objectifs similaires.

Le risque de catastrophe reste énorme et va bien au-delà du simple vol de dossiers médicaux. Injecter de fausses tumeurs dans un scanner pourrait dévaster une personne attendant anxieusement de savoir si elle a un cancer. Et modifier des médicaments ou altérer des plans de traitement pourrait littéralement les tuer. Mais il suffit d'un seul cybercriminel prêt à franchir cette ligne pour le profit, et vous pouvez être sûr que cela arrivera. Peut-être que la prochaine escroquerie par ransomware ne chiffrera pas les données d'un hôpital, mais ruinera les diagnostics de milliers de patients. Ou peut-être qu'un attaquant menacera de modifier des médicaments s'il n'est pas payé, tenant littéralement des vies en otage.

Il est évident que nous ne pouvons plus nous contenter d'une approche classique en matière de cybersécurité dans le secteur de la santé. Nous ne pouvons pas compter sur un ou deux spécialistes au sein des établissements de santé pour résoudre chaque problème. Nous avons besoin de développeurs sensibilisés à la sécurité qui conçoivent des applications et des dispositifs médicaux capables d'identifier les risques potentiels et de les corriger avant leur déploiement. Même le personnel soignant gagnerait à recevoir une formation de base en cybersécurité.

Rien n'est plus précieux que la santé. Dans le secteur médical, assurer une cybersécurité robuste pour l'avenir dépendra de notre capacité à renforcer la sensibilisation globale dès aujourd'hui. Sans une prise en charge sérieuse, ce problème ne fera qu'empirer.